[論文レビュー] Robust Monitoring of Linear Temporal Properties

Daniel Neider, Maximilian Schwenger+3 more|arXiv (Cornell University)|Jul 21, 2018

Formal Methods in Verification参考文献 15被引用数 1

ひとこと要約

本稿では、有限トレース上でのすべてのLTL式の完全なモニタビリティを可能にする、堅牢な線形時相論理（LTL）の意味論を導入している。これは、従来の三値意味論では44%の式が未決定のまま残るという根本的な制限を克服したものである。違反の度合いを割り当てることで、決定的オートマトンがすべての式をモニタ可能にし、プロトタイプ実装により実現可能性と向上したモニタカバレッジが確認された。

ABSTRACT

Runtime monitoring is commonly used to detect the violation of desired properties in safety critical cyber-physical systems by observing its executions. Bauer et al. introduced an influential framework for monitoring Linear Temporal Logic (LTL) properties based on a three-valued semantics: the formula is already satisfied by the given prefix, it is already violated, or it is still undetermined, i.e., it can still be satisfied and violated by appropriate extensions. However, a wide range of formulas are not monitorable under this approach, meaning that they have a prefix for which satisfaction and violation will always remain undetermined no matter how it is extended. In particular, Bauer et al. report that 44% of the formulas they consider in their experiments fall into this category. Recently, a robust semantics for LTL was introduced to capture different degrees by which a property can be violated. In this paper we introduce a robust semantics for finite strings and show its potential in monitoring: every formula considered by Bauer et al. is monitorable under our approach. Furthermore, we discuss which properties that come naturally in LTL monitoring - such as the realizability of all truth values - can be transferred to the robust setting. Lastly, we show that LTL formulas with robust semantics can be monitored by deterministic automata and report on a prototype implementation.

研究の動機と目的

• 従来のLTLモニタリングフレームワークにおいて、三値意味論下で44%の式が未決定のまま残るという制限を解消すること。
• 有限文字列に対する堅牢な意味論を構築し、違反の度合いを捉えることで、すべてのLTL式がモニタ可能であることを保証すること。
• 新しい堅牢な意味論下で、決定的オートマトンを用いてLTL式をモニタ可能にする仕組みを提供すること。
• 古典的LTLモニタリングに特徴的な性質（例：すべての真理値の実現可能性）を、堅牢な意味論フレームワークに移行すること。

提案手法

• 有限トレース上でのLTL式に対して、三値結果に依存せず、違反の度合いを割り当てる堅牢な意味論を提案すること。
• すべての可能な拡張における満たしに至る最小距離に基づき、式の違反の深刻さを定量化する測度を定義すること。
• 実行中に堅牢性度合いを追跡する決定的有限オートマトン（DFA）を構築し、効率的なランタイムモニタリングを可能にすること。
• 新しい意味論下でもモニタリング動作を保持するように、LTL式から堅牢性に配慮したオートマトンへの変換を導入すること。
• システムトレースを処理し、リアルタイムに堅牢性値を報告するプロトタイプモニタリングシステムを実装すること。
• Bauerらの元々のフレームワークと比較して、モニタカバレッジを評価し、すべての式に対して完全なモニタビリティを達成したことを確認すること。

実験結果

リサーチクエスチョン

• RQ1 有限LTLトレースに対して、古典的な三値意味論ではモニタ不能となる式であっても、すべての式がモニタ可能となるような堅牢な意味論を定義できるか？
• RQ2 違反の度合いを形式的に捉え、すべてのLTL式を決定的モニタリング可能にするために、どのように利用できるか？
• RQ3 古典的LTLモニタリングに特徴的な望ましい性質（例：すべての真理値の実現可能性）は、堅牢な意味論下でも保持されるか？
• RQ4 決定的オートマトンを用いて、堅牢なLTLモニタリングを実装できるか。これにより、ランタイム解析の効率性と決定性が保証されるか？
• RQ5 堅牢な意味論は、安全が求められるシステムにおけるLTLモニタリングの実用的適用性をどの程度向上させるか？

主な発見

• 提案された堅牢な意味論により、有限トレース上でのすべてのLTL式がモニタ可能となり、Bauerらのフレームワークで44%の式が未決定のまま残るという問題が解消された。
• 堅牢性度合いは違反の度合いを連続的な測度として提供し、二値または三値の結果に比べて、より洗練され、情報量の多いモニタリング結果が得られる。
• 新しい堅牢な意味論下でも、すべてのLTL式を決定的オートマトンでモニタ可能であり、効率的かつ予測可能なランタイム解析が可能である。
• プロトタイプ実装は、システムトレースを効果的に処理し、リアルタイムに堅牢性値を計算することができ、実現可能性とスケーラビリティが裏付けられた。
• 堅牢なアプローチは、すべての真理値の実現可能性といった、重要なモニタリング特性を保持しており、既存のモニタリングワークフローとの互換性が保たれている。
• 本手法は、Bauerらの評価で使用されたすべての式に対して完全なモニタビリティを達成し、従来のアプローチの主要な制限を克服した。